O que se sabe (até ao momento) sobre o ciberataque à Vodafone

Na noite de 7 para 8 de fevereiro, a Vodafone Portugal foi alvo de um ciberataque que paralisou os serviços de voz, SMS e dados móveis. Esta ausência de serviços começou a ser notada por volta das 21h de dia 7 de fevereiro. Às 23h, a Vodafone comunicou que estava a “para identificar e solucionar os problemas técnicos que afetam” a rede da operadora; naquele momento, ficou definido que a falha não era generalizada, mas uma “falha técnica” que está a “impactar uma percentagem significativa de clientes”.

Por volta da 1h – já 8 de fevereiro – a Vodafone voltou a comunicar que a equipa da Vodafone estava a recuperar progressivamente os serviços de voz móvel, embora “se continuem a verificar algumas perturbações nas ligações com destino a outros operadores”. Na mesma comunicação, a operadora referiu que a prioridade máxima é garantir a “reposição da totalidade dos serviços”.

Pouco antes das 8h do dia 8 de fevereiro, a Vodafone Portugal envia um comunicado para as redações intitulado “Vodafone Portugal alvo de ciberataque”. “A Vodafone foi alvo de uma disrupção na sua rede, iniciada na noite de 7 de fevereiro de 2022 devido a um ciberataque deliberado e malicioso com o objetivo de causar danos e perturbações”, começa por escrever a operadora.

Nesta comunicação, a operadora explica que agiu “de forma imediata para identificar e conter os efeitos e repor os serviços”, tendo já recuperado “os serviços de voz móvel” e referindo que, naquele momento, os serviços de dados móveis estão disponíveis exclusivamente na rede 3G em quase todo o país”.

“A dimensão e gravidade do ato criminoso a que fomos sujeitos implica para todos os demais serviços um cuidadoso e prolongado trabalho de recuperação que envolve múltiplas equipas nacionais, internacionais e parceiros externos”, acrescenta a Vodafone no mesmo comunicado.

Uma das informações partilhadas pela própria Vodafone é de que não existem “quaisquer indícios de que os dados de clientes tenham sido acedidos e/ou comprometidos”.

A Unidade Nacional de Combate ao Cibercrime e à Criminalidade Tecnológica, também conhecida como UNC3T, da Polícia Judiciária está a investigar o caso. O SIS e o Centro Nacional de Cibersegurança estão a monitorizar o caso. Numa primeira análise, não há ransomware.

Numa conferência de imprensa a meio do dia, Mário Vaz, CEO da Vodafone Portugal, indicou que o ciberataque se trata de um “ato terrorista”, tendo reafirmado que não existiu nenhum pedido de resgate.

“Destruição intencional de vários elementos centrais das redes”

Especialistas da Check Point e da Kaspersky contactados pela IT Security indicam que a Vodafone terá sofrido um ataque de Denial-of-Service “bastante grande” onde “o ator sabe muito bem o que quer e como proceder nas suas operações para roubar as informações”.

“A Vodafone – assim como todas as operadoras – tem na sua infraestrutura mecanismos de proteção contra este tipo de ataques; para causar esta interrupção de serviço, terá de ter sido algo muito específico ou, em termos de dimensão, algo mesmo muito grande. Terá de ter sido algo muito específico para causar este tipo de interrupção”, explicou Bruno Duarte, Senior Security Engineer da Check Point, que acrescenta que, “para mandar toda a infraestrutura de telemóvel e televisão abaixo, terá de ter sido um ataque de uma dimensão realmente grande, distribuído – com origem em vários sítios do globo, quase de certeza”.

A meio da tarde, Mário Vaz utilizou a sua página no LinkedIn para voltar a fazer um pedido de desculpas pelo “momento difícil” e o “impacto negativo no quotidiano” dos clientes da Vodafone Portugal.

Nesta mesma publicação, o CEO da operadora escreve que “fomos objeto de um ciberataque sem precedentes, cuja origem e objetivos ainda estão a ser investigados, e que se traduziu na destruição intencional de vários elementos centrais das nossas redes, incluindo nos sistemas redundantes que temos preparados para ativar numa situação de falha de rede. A atuação maliciosa foi efetuada de forma cirúrgica denotando intenção de provocar um dano de grande profundidade e expressão”.

Investigação criminal

Numa conferência de imprensa ao fim do dia, Carlos Cabreiro, diretor da unidade de cibercrime da PJ, explicou que foi lançada uma investigação criminal e que, em conjunto com o SIS e o CNCS está a trabalhar com vista a encontrar os autores do ataque. Admitindo que é prematuro associar este a outros ciberataques recentes, e apesar de admitir que não há, no momento, esses dados, a hipótese está em cima da mesa.

A Polícia Judiciária fez um pedido de ajuda internacional através da Interpol, uma vez que a dimensão do ciberespaço tem “potenciado o aumento deste tipo de ataques que, em regra, assumem uma dimensão internacional”. Junto com a Vodafone, estão a ser recolhidos “indícios e indicadores de compromisso” que podem permitir “avaliar e conhecer a origem, a extensão e a motivação do ato criminoso”. 

Ainda antes das 19h, a Vodafone comunicou que “iniciou o restabelecimento dos serviços base de dados móveis sobre a sua rede 4G na sequência de uma intensa e exigente operação de reposição. Este arranque está de momento condicionado a zonas restritas do país, estando gradualmente a ser expandido para o maior número possível de clientes. O serviço está igualmente sujeito a algumas limitações, nomeadamente no que respeita à velocidade máxima permitida de forma a garantir uma melhor monitorização da utilização da rede, bem como uma distribuição mais equitativa e sustentável da capacidade disponibilizada aos nossos clientes”.